Certificar la autoridad, sea cual sea el actor.
Las cuentas de servicio, las identidades de carga de trabajo y los agentes de IA superan en número a las personas muchas veces, y la mayoría de las organizaciones no puede decir quién es su propietario. El mercado compite por saber a qué puede acceder un agente. REVIEWIT responde a una pregunta distinta: quién lo autorizó, si una persona decidió, y si puede demostrarlo después.
Todos están en la primera. Nadie está en la cuarta.
1. ¿A qué puede acceder?
El grafo de permisos. Concurrido, bien financiado, y no es donde vive la certificación.
2. ¿Quién lo autorizó?
Un propietario nombrado, responsable, con un motivo para que la identidad exista siquiera.
3. ¿Decidió una persona?
No una política, no una automatización. Una persona, en una fecha, con un comentario.
4. ¿Puede demostrarlo?
Seis meses después, ante un regulador. Sellado, encadenado, exportable. Esta es la pregunta de REVIEWIT.
La obligación es periódica. El gesto es el mismo.
Supervisión humana con capacidad de intervención, registros automáticos conservados, demostrabilidad a petición. La AI Act pide a los agentes lo mismo que DORA y NIS2 ya piden a las personas: demostrar, periódicamente, que una autoridad humana supervisa. La campaña de certificación no cambia. Su objeto sí.
- La pregunta cambia. Para una persona: ¿debería continuar este acceso? Para una identidad no humana: ¿quién es el propietario, y por qué sigue existiendo?
- La política ya existe. Las políticas de propiedad y de huérfanos ya incorporan propietarios mínimos, aceptación, estrategias de designación y plazos. Se aplican a una cuenta de servicio igual que se aplican a un sitio.
- La prueba ya existe. La decisión de una persona nombrada, firmada, sellada en la pista de auditoría. Sea cual sea el actor certificado.
Gobernamos primero a nuestro propio agente.
El registro de RITA guarda, para cada turno, lo que el asistente hizo realmente y con qué herramientas, bajo qué sesión. Ese es el primitivo que necesita una gobernanza de agentes: no lo que se le permitió hacer, sino lo que hizo, y bajo qué autoridad. REVIEWIT aplica a su propia IA lo que aplicará a la suya.
Empiece por la atestación de propiedad.
Nombre a un propietario, justifique la existencia, fije un plazo. Es la campaña con la que empieza todo programa de identidades no humanas, y REVIEWIT ya la ejecuta hoy.